Redes Sociales: Formas de ataque más comunes y contramedidas (Parte 1)

Somos humanos … y tenemos la necesidad inherente de socializar. Gracias a los avances tecnológicos, hemos llevado nuestras formas de comunicarnos con nuestros grupos de amigos y familares a nuevos niveles. Es ahi donde entramos al mundo de la Web 2.0 y las redes sociales como Facebook, LinkedIn y Myspace, las cuales por decir son usadas hoy en día por más de 350 millones de personas. Cualquiera que utilice Internet con regularidad hoy en día, no debería ser ajeno a nombres como Myspace, Hi5, Facebook, Flickr, Twitter o Taringa.

Bien sea para pasar el rato o como plataformas de trabajo realmente útiles, es indudable la importancia de las redes sociales hoy en día, pero con tantos millones de usuarios navegando en ella, cabría esperar el que algunos usuarios malintencionados quisieran tomar ventaja de este enorme recurso.

En entradas anteriores del blog, he hablado sobre las problemáticas que veo en las redes sociales (Véase Redes Sociales: ¿Atrapados?), pero después de platicar con un amigo, veo que muchos quisieran conocer qué formas de ataque existen através de las redes sociales y las medidas que se pueden tomar para reducir daños.

Para esto, tengo preparado un especial orientado a la explicación técnica sobre el cómo funcionan los ataques sobre redes sociales desde el punto de vista del atacante. Con esto espero que la información llegue a los usuarios de Internet, que como yo, quisieran tener una experiencia tranquila y segura navegando y conviviendo en el mundo de los 0s y 1s.

Los ataques que analizaremos en este especial de Redes Sociales serán:

1. Phishing
2. Ataque del Gemelo Malvado
3. Robo de Identidad y Amenazas Físicas

En esta primera parte, me limitaré a hablar sobre el primer punto: Phishing.

1. Phishing

Phishing es un término informático que denomina un tipo de delito encuadrado dentro del ámbito de las estafas, y que se comete mediante el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria). El estafador, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea^[1] o incluso utilizando también llamadas telefónicas.… Más información

Caso A

José es ingeniero, adicto a la tecnología. Diariamente revisa su facebook y publica en su blog entradas nuevas sobre gadgets e informática. Cierto día al revisar su bandeja de Email, se da cuenta que ha recibido un nuevo mensaje en Facebook de uno de sus amigos:

Al abrirlo, lee el siguiente mensaje:

Ok … José (o cualquier usuario), podría ver esto como algo normal … la dirección en ese enlace después de todo parece estar en Facebook… y el contenido del mismo parece interesante… ¿un video mio?… ¿donde? o ¿cómo pasó?. José decide dar click en el enlace para ver de que trata todo esto, llega a una página como la siguiente:

En efecto, la página “parece” tener un video. José y cualquier usuario debería tener miles de reservas al respecto, pero los siguientes factores pueden llegarlo a convencer de caer en la trampa:

- El video fue recomendado por uno de sus amigos.

- La dirección a la que le di click parecía venir de Facebook.

- La página si parece contener un video y el mensaje de alerta es tan molesto, que viene siendo más fácil darle click en Aceptar.

Entonces, José más tranquilo decide dar click en Aceptar … le aparece una nueva ventana:

Decide Guardar el archivo y Ejecutarlo, con la esperanza de al instalar ese Codec poder ver el video. Pero vaya sorpresa, al regresar a la página para ver el video, se percata de que nada pasa y empieza a sospechar que lo que ha instalado es un virus. Totalmente correcto, José ha sido engañado y ha puesto en compromiso los datos de su ordenador, ¿cómo pasó esto? ¿te suena la historia familiar?, analicemos el ataque:

- Un ataque “Phishing”, lo que busca es atacar el lado psicológico de la víctima. Nos llegan emails todos los días, pero solo hacemos caso a los que tienen contenido “Interesante”. Aceptamos “por curiosidad” abrir los que dicen “Te has ganado $100000 pesos”, “Te han enviado una postal”, aceptamos abrir los que provienen de nuestras redes sociales (como Facebook) y no nos preocupamos en si la fuente es realmente segura.

- El correo decia que era de Facebook, pero eso se puede falsificar, tanto el remitente como el contenido. El correo decía que era un de amigo que conosco, ¿cómo sabemos que no le “hackearon” la cuenta? ¿qué realmente es él?. Un atacante bien podría obtener nuestro correo de una cadena, falsificar el mensaje, falsificar el contenido y tentarnos con un mensaje “jugoso”.

- La dirección que recibió “Jose” en el caso que analizamos era la siguiente:

http://www.facebook.com/l/24cc5JN1hF6vIIYaCG5JwZsiQ2A;www.quanaxoft.com/fakeVideo/fake.html

Pueden dar click al enlace, es seguro, yo lo programé… pueden analizar el código de la página si lo desean, solamente es un ejemplo, el ataque por lo general puede ser más elaborado.

Facebook (así como muchas otras páginas), manejan los enlaces que publican o comparten los usuarios, de manera especial. En este caso, Facebook utiliza una url especial para redireccionar (a modo de proxy) desde www.facebook.com al sitio que el atacante quería compartir. Siendo entonces que, aunque parezca que el enlace pertenece a Facebook, es solo una redirección

Caso B

Estamos en Twitter, revisando los tweets de nuestros amigos. De pronto vemos que alguien publica un tweet con un enlace que parece interesante…

Nuestra curiosidad nos hace interesarnos y damos click en el… el enlace nos lleva a una página donde se nos piden nuestras credenciales de Twitter:

Vemos que la página es exactamente igual a la de Twitter y estamos tan acostumbrados a poner nuestros datos en los formularios, que no lo pensamos dos veces e ingresamos nuestro nombre de usuario y contraseña. Pero vaya problema!!! No nos hemo percatado de que en realidad no es la página de Twitter, si no una página falsa… y que através de ella nos estan robando nuestros datos!!!. Como podemos ver en la imágen, la url en la que está navegando la víctima es http://twitter.pagina-falsa.com/sessions … a todas luces esto es un intento de estafa, pero aveces la dirección podría no ser tan obvia o incluso un día podamos estar muy despistados y ni siquiera notarlo. A resumidas cuentas, ¿para qué se nos están pidiendo nuevamente nuestros datos de cuenta? ¿no estábamos loggeados ya? … pero ¿siempre tenemos la costumbre de verificar donde estamos navegando?.

Contramedidas y Conclusiones

Cuando se trata de la gente con la que interactuamos en Internet, tendemos a ser mucho más confiados que cuando tratamos con gente en el entorno físico. Debemos tratar de ser un poco más paranoicos y realistas … no toda la gente es buena en las redes sociales, hay mucha que buscará robarnos nuestros datos, y aunque algunos piensen: “total, que solo son datos y no es como si me robaran dinero”, recomiendo que lo consideren dos veces, pues lo que se llevan no son solo 0′s y 1′s, también se llevan las direcciones de tus amigos, de tus familiares y pueden terminar estafándolos a ellos también.

Obviamente los ataques de tipo Phishing no van a ser exactamente como los describo (no todos), realmente un ataque depende la creatividad de quien lo hace, pero la manera de actuar es muy parecida a la descrita. Basta con ser precavidos para no caer.

Las siguientes recomendaciones pueden ayudar a evitar estos ataques:

- No confies totalmente en el antivirus. Hay ataques que van orientados a tu lado psicológico, como lo son los ataques de Phishing

- Analiza el mensaje. ¿Viene de una fuente que confías?, ¿has recibido mensajes parecidos en el pasado? ¿el título del mensaje suena demasiado bueno para ser verdad?, tal vez lo sea. Tomate tu tiempo para analizar la situación.

- Toma la ofensiva. En las redes sociales, siempre está la opción para denunciar usuarios por comportamiento inadecuado, no dudes en reportar a la gente que te quiere timar o estafar. Ayuda a que la comunidad esté libre de esta gente.

- Nunca tengas miedo de pedir ayuda o la opinión de alguien mas. Si no estás muy familiarizado con las redes sociales o las tecnologías de información, pidele ayuda a alguien que te pueda asesorar, bien sea un amigo, técnico o familiar, es mejor solicitar ayuda cuando nos veamos ante la situación de “abrir o no abrir el enlace”, “instalarme o no instalarme el software” o “confiar o no confiar en el correo”.

Hasta aquí termina por ahora este especial de redes sociales, en la siguiente parte veremos los ataques de tipo: Gemelo Malvado y Robo de Identidad.

Enlaces:

Redes Sociales: Formas de ataque más comunes y contramedidas (Parte 2) > http://www.quanaxoft.com/blog/2011/01/04/redes-sociales-formas-de-ataque-mas-comunes-y-contramedidas-parte-2/